Logiciel RGPD PME : besoins, budget et déploiement

Pour choisir un logiciel RGPD en PME, définissez d’abord le travail à maintenir, les personnes disponibles et le coût complet du projet. Le produit le plus adapté n’est pas nécessairement celui qui possède le plus de modules : c’est celui qui permet à votre équipe de tenir ses dossiers, de traiter les échéances et de retrouver les preuves sans créer une charge qu’elle ne peut pas absorber.

Ce guide aide à dimensionner un premier équipement et son déploiement. Pour dresser les exigences fonctionnelles générales, utilisez le guide des logiciels RGPD. Ici, la question est plus concrète : que faut-il acheter maintenant, que faut-il organiser autrement et quel travail restera à votre charge ?

La taille ne remplace pas l’analyse des obligations

Le RGPD n’impose pas, de façon générale, l’achat d’un logiciel dédié. L’Art. 30(3) prévoit un registre écrit, y compris électronique. La CNIL propose notamment un modèle de registre simplifié au format ouvert ODS : un tableur peut donc constituer un point de départ, si son contenu et son organisation répondent aux obligations applicables. Modèle simplifié CNIL.

L’Art. 30(5) comporte une dérogation pour les organismes de moins de 250 employés, avec des exceptions : traitement susceptible de comporter un risque, non occasionnel ou portant notamment sur les données des Art. 9 et 10. La gestion habituelle des salariés et des clients ne disparaît donc pas du registre au seul motif que l’entreprise est petite. RGPD, Art. 30.

De même, la désignation obligatoire d’un DPO dépend des conditions de l’Art. 37(1), et non d’un simple seuil de salariés. Un responsable administratif chargé de coordonner les travaux n’est pas automatiquement un DPO désigné. Vérifiez séparément si votre DPO est obligatoire et les moyens nécessaires à sa mission.

Une petite entreprise qui traite des données sensibles ou assure des services pour ses clients peut avoir un besoin plus complexe qu’une société plus grande aux activités simples. Le nombre de salariés sert à préparer les contributions et les accès ; il ne suffit pas à choisir une gamme de produit.

Partir du travail qui se perd aujourd’hui

Avant toute démonstration, examinez quelques situations récentes : qui a recherché un contrat, repris une fiche, répondu à une demande ou découvert un nouveau prestataire ? Notez le document attendu, la personne responsable et le blocage rencontré. « Nous voulons être conformes » ne permet pas de déterminer ce que l’outil doit améliorer.

Distinguez trois causes. Une information absente demande une collecte auprès du métier. Une règle juridique incertaine demande une analyse. Une version perdue ou une relance oubliée peut appeler une meilleure organisation documentaire. Un abonnement ne remplace pas les deux premières tâches, même s’il peut les faciliter.

La CNIL rappelle que le registre se construit par activité et finalité, pas simplement par logiciel utilisé. Une messagerie ou un CRM peut contribuer à plusieurs traitements. Demander un inventaire automatique des applications n’est donc pas équivalent à obtenir un registre exact. Fiche CNIL sur le registre.

Pour fixer le niveau de détail attendu, prenez un exemple de registre rempli. Comparez-le aux faits de votre entreprise : destinataires, durées et mesures réellement en place. Une fiche visuellement complète mais fondée sur des hypothèses non confirmées reste un dossier à revoir.

Dimensionner un premier périmètre : exemple de PME

Considérons une entreprise fictive de 32 salariés, répartis sur deux sites. La responsable administrative coordonne la conformité ; les responsables RH, commercial et informatique détiennent les informations. Un conseil externe intervient pour les arbitrages juridiques. Ces effectifs et cette organisation sont des hypothèses pédagogiques, pas une recommandation universelle.

La direction retient trois résultats pour le premier périmètre : un registre de référence, des contrats de prestataires reliés aux activités et un suivi des actions avec responsable et échéance. Elle ne commande pas immédiatement une plateforme couvrant toutes les normes de l’entreprise. Les demandes de droits continuent d’être prises en charge par la procédure existante, dont les échéances sont suivies.

Deux fonctions sont impératives dans son cahier de dimensionnement : permettre aux métiers de contribuer sans modifier librement les conclusions validées, et récupérer les fiches avec leurs pièces utiles. Les autres demandes sont classées selon leur utilité réelle. Une gestion de nombreuses filiales n’est pas prioritaire pour ses deux sites appartenant à la même société.

Le choix n’est pas « registre ou droits des personnes ». Les obligations restent applicables. Il consiste à décider quelles tâches seront équipées par ce premier achat et lesquelles disposeront d’un autre moyen fiable. Si la procédure existante ne tient pas les délais, son remplacement redevient prioritaire.

Vérifier la capacité de déploiement avant le calendrier

Dans l’exemple, la responsable estime le travail suivant avec les métiers. Ce sont des hypothèses de planification à remplacer par vos propres estimations :

Avec deux heures réellement disponibles par semaine, cette charge représente quinze semaines, avant même de réserver du temps aux demandes courantes et aux imprévus. Un objectif interne de huit semaines ne devient pas réaliste parce que le fournisseur annonce une installation rapide. L’ouverture du compte et l’appropriation des dossiers sont deux étapes différentes.

La direction peut alors réduire le premier périmètre, dégager du temps supplémentaire ou acheter une assistance précisément décrite. Elle ne peut pas promettre les trois simultanément : même périmètre, même disponibilité et délai divisé par deux. Le calcul ne mesure aucun gain logiciel ; il rend visible une contrainte d’organisation.

Un projet réduit reste documenté : activités reprises en premier, autres dossiers maintenus dans leur outil actuel, responsable de la transition et critère de passage au lot suivant. Il ne suspend ni le traitement des droits ni la correction d’un risque déjà identifié.

Construire le budget complet sur une même durée

Demandez aux éditeurs une offre portant sur le même périmètre : entités, contributeurs, fonctions, volume de dossiers et durée d’engagement. Séparez les frais ponctuels des frais récurrents. Le coût d’un utilisateur supplémentaire ou d’un export peut changer l’économie d’un abonnement apparemment moins cher.

Une formule de comparaison utile sur douze mois est :

Coût prévu = abonnement sur douze mois + reprise et paramétrage + accompagnement acheté + temps interne valorisé + frais de sortie prévus.

La formule ne constitue ni un tarif de marché ni un devis. N’additionnez pas deux fois une prestation déjà incluse. Distinguez aussi le budget payé au fournisseur du temps mobilisé en interne : ce dernier n’est pas forcément une dépense nouvelle, mais il reste une ressource indisponible pour d’autres tâches.

Une rubrique non renseignée vaut « inconnu », pas zéro. Si la reprise est sur devis, obtenez le périmètre avant de comparer un total. Pour une période plus longue, ajoutez les renouvellements selon les conditions effectivement proposées ; ne supposez pas que la première année se répète à l’identique.

Choisir entre tableur organisé, outil et accompagnement

Le tableur reste une option si une personne tient une version de référence, si les accès sont maîtrisés et si les changements sont effectivement intégrés. Il devient moins adapté lorsque la circulation des contributions et des preuves exige des manipulations qui ne sont plus tenues. Il n’existe pas un nombre universel de lignes à partir duquel il faudrait le remplacer.

L’outil spécialisé prend davantage de sens lorsqu’il réduit un problème identifié : contributions réparties, contrats reliés aux traitements, suivi des actions ou historique de validation. L’accompagnement externe est utile lorsque le blocage concerne la qualification juridique ou la collecte des faits. Ces moyens peuvent se combiner ; acheter le logiciel ne rend pas l’accompagnement inutile par principe.

Dans notre PME, la décision initiale peut être d’équiper le registre et les prestataires, tout en réservant une intervention externe aux dossiers incertains. L’achat reste conditionné aux exigences impératives et au budget complet. Le comparatif des logiciels RGPD permet ensuite de présélectionner des solutions sur un dossier commun.

L’auteur est fondateur de Legiscope. Sa présentation officielle annonce notamment la préparation du registre et l’analyse des contrats de sous-traitance, avec des projets soumis à validation humaine. Ce sont des fonctions à examiner sur votre dossier ; elles ne démontrent pas un délai ni une économie pour votre PME. Présentation officielle de Legiscope.

Observer le travail du futur utilisateur

La démonstration doit montrer ce que la responsable fera après le départ du commercial de l’éditeur. Faites-lui corriger une fiche de démonstration, demander une précision à un contributeur, retrouver une pièce et préparer un export. Utilisez des dossiers fictifs ou expurgés, sans envoyer des fichiers clients complets uniquement pour évaluer une interface.

Pour une fonction d’IA, observez comment elle distingue fait fourni, règle citée et hypothèse. Le temps utile comprend la relecture et les corrections. Une génération rapide qui invente un destinataire ou une durée ne constitue pas un résultat validé. Notez les limites constatées sans les transformer en conclusion générale sur toutes les fonctions du produit.

Vérifiez aussi le contrat du fournisseur, ses garanties et ses propres sous-traitants lorsque l’Art. 28 s’applique. La plateforme de conformité traite elle-même des données : comptes utilisateurs, contacts, pièces ou dossiers de demandes. Évitez d’y transférer davantage d’informations que nécessaire.

Si un impératif reste non démontré, demandez une preuve ou un engagement précis avant de choisir. Une fonction annoncée pour plus tard ne doit pas être budgétée comme disponible aujourd’hui. Si aucun candidat ne satisfait le besoin, maintenez un dispositif utilisable et revoyez le périmètre au lieu de basculer sans solution.

Organiser la reprise et la maintenance

Reprenez les documents par lots identifiables et conservez la correspondance avec l’existant. Comparez le contenu, les pièces et les accès avant de déclarer une ancienne version remplacée. Si des éléments manquent, arrêtez la bascule du lot concerné, corrigez la reprise et faites confirmer le résultat par le responsable du dossier.

Fixez ensuite les événements qui déclenchent une mise à jour : nouvel usage, prestataire remplacé, destinataire ajouté ou durée modifiée. La CNIL décrit un registre évoluant avec les conditions de mise en œuvre du traitement. Le calendrier interne doit permettre ces remontées, sans attendre mécaniquement une revue annuelle. Mise à jour du registre.

Suivez des résultats concrets : dossiers vérifiés sur le périmètre annoncé, actions échues, pièces manquantes et demandes traitées. Un taux de champs remplis ne mesure pas la conformité. Un audit RGPD permet de confronter ce qui est écrit aux pratiques réelles et de réviser les priorités.

Ce qu’il faut retenir

• Achetez un périmètre que des personnes identifiées peuvent maintenir.
• Comparez le coût complet, y compris les inconnues et le temps interne.
• Séparez l’installation technique de la reprise juridique et opérationnelle.
• Gardez un dispositif utilisable tant que la migration n’est pas confirmée.

FAQ

Quel budget mensuel prévoir ?

Il n’existe pas ici de montant vérifié valable pour toutes les PME. Demandez des offres comparables et identifiez les frais ponctuels, les limites et les conditions de renouvellement.

Peut-on commencer sans logiciel dédié ?

Oui, si les moyens retenus permettent de satisfaire les obligations applicables. Le besoin d’outil se déduit des difficultés constatées, pas du seul effectif.

Qui doit piloter l’achat ?

Une personne disposant du temps et de l’autorité nécessaires, avec les métiers, l’informatique et le conseil juridique utile. La direction doit arbitrer le périmètre et les ressources ; le fournisseur ne peut pas le faire à sa place.

Recevez nos analyses et ressources RGPD pour les entreprises.

Thiébaut Devergranne, docteur en droit, fondateur de donneespersonnelles.fr et de Legiscope, travaille depuis plus de vingt ans sur le droit des technologies.